Où est hébergé votre registre, et qui est l’éditeur ?
Pour qui : Vous achetez pour un organisme public ou une ETI, et votre direction ou votre marché demande un outil européen. Vous devez savoir qui signe le contrat et où vont réellement les données.
Demandez quatre réponses écrites : quelle société signe, qui héberge l’application, quels sous-traitants ultérieurs reçoivent vos données, et d’où intervient le support. Un nom français ou une mention « hébergé en Europe » ne répond pas seule à ces questions.
Le poids de ce critère dépend de vous. Si un marché vous l’impose, il décide. Si rien ne vous l’impose et que vous n’y mettez que votre registre, vérifiez-le, puis décidez sur l’usage.
Notre avis
Exigez l’annexe de sous-traitance avant la démonstration. Elle doit nommer la société qui signe, l’hébergeur de l’application, les sous-traitants ultérieurs et le lieu du support. Un nom français ou « hébergé en Europe » ne vous dit rien de tout cela.
Pourquoi
- Les mentions légales peuvent ne décrire que le site : chez Leto et Witik, le site vitrine et la solution sont hébergés séparément selon ce que nous avons lu.
- Un éditeur peut être lituanien et conserver ses données en Irlande, ou avoir un nom français et appartenir à un groupe plus large : l’étiquette ne prédit pas la réponse.
- Le Comité européen écrit que le responsable devrait disposer à tout moment de l’identité de tous ses sous-traitants, quel que soit le risque.
Ce qui change le choix
Une clause de marché, une exigence d’un client ou un traitement de données de santé fait de ce critère une condition d’accès. À l’inverse, sans exigence ni donnée sensible, gardez-le comme une vérification et décidez sur le travail à faire.
L’ordre à suivre
- Exigence écrite d’un marché ou d’un client : elle fixe le filtre et passe avant le reste.
- Pas d’exigence, données sensibles dans les modules utilisés : posez les quatre questions et donnez du poids à ce critère.
- Pas d’exigence, registre seul sans pièce ni donnée sensible : posez les questions, sans laisser ce sujet dominer le choix.
Quatre questions à poser, et le piège de chacune
Une seule réponse ne suffit pas, car ces quatre sujets peuvent désigner quatre sociétés différentes.
| Question | Pièce à obtenir | Piège |
|---|---|---|
| Quelle société signe mon contrat ? | Bon de commande, avec dénomination et pays. | La marque cache une autre société, un autre pays ou un groupe plus large. |
| Qui héberge l’application, et où ? | Annexe de sous-traitance avec le nom de l’hébergeur et la région. | Les mentions légales nomment l’hébergeur du site vitrine, sans parler de l’application. |
| Quels sous-traitants ultérieurs reçoivent mes données ? | Liste datée et mode d’information en cas de changement. | Les fonctions d’IA peuvent ajouter un fournisseur et un transfert. |
| D’où intervient le support, avec quel accès ? | Clause d’accès et pays concernés. | Un accès depuis un pays tiers peut exister malgré un serveur européen. |
Six marques lues : ce qu’un drapeau ne dit pas
Ces lignes rapportent ce que disent les éditeurs dans les pages lues le 5 novembre 2026. Elles n’établissent pas qu’un outil est plus sûr qu’un autre. Une transparence écrite permet simplement de vérifier plus vite.
| Marque | Société lue | Ce que l’éditeur annonce | Reste à demander |
|---|---|---|---|
| Legiscope | Legiscope UAB, Lituanie | Application chez AWS en Irlande, copie de secours en France. OpenAI, Anthropic ou Google Gemini peuvent recevoir une tâche. Transferts possibles encadrés par des clauses types. | Pouvez-vous couper les fonctions d’IA ? Le contrat signé reprend-il cette liste ? |
| Dastra | Dastra SAS, France | « Hébergé, conçu et développé en France ». Les mentions légales visent le site, sur Azure en France. Les documents peuvent être stockés chez le client. | L’hébergeur de l’application standard, et si l’instance dédiée « Bleu » que décrit sa documentation vous concerne. |
| Witik | Witik SAS, France | La même page écrit « en France » dans sa FAQ et « exclusivement en Europe » ailleurs. Le site vitrine passe par Netlify, les formulaires publics par OVH. | Quelle phrase engage l’éditeur ? Laquelle figure au contrat ? |
| Leto | Ragnar Soft SAS, France | Serveurs en France chez une entreprise française, sans nom lu. Mentions légales : site chez Webflow, à San Francisco. | Le nom de l’hébergeur de l’application. |
| EQS Privacy Cockpit | EQS Group ; entité française non lue | Ancien Data Legal Drive : EQS annonçait des négociations exclusives en 2024 et une de ses pages parle de société acquise. | Quelle société signe aujourd’hui, et le sort des contrats antérieurs. |
| Smart Global Governance | SAS, France | Ses conditions renvoient à l’hébergeur désigné dans le devis, mutualisé ou dédié ; une autre page cite un hébergement dans plus de 80 pays. | Le pays précis, inscrit au devis. |
Ce que le RGPD demande, et ce qu’il ne demande pas
Nous n’avons trouvé dans le RGPD aucune obligation générale d’héberger en France. Le chapitre V encadre les transferts hors de l’Union : décision d’adéquation, garanties appropriées, puis dérogations pour des situations particulières. Pour les États-Unis, la décision du 10 juillet 2023 couvre les entreprises participant au Data Privacy Framework, et non tout destinataire américain.
L’article 28 impose de choisir un sous-traitant présentant des garanties suffisantes. Il encadre aussi la sous-traitance ultérieure : autorisation écrite et, si elle est générale, information sur tout changement avec possibilité de s’y opposer. Selon l’avis 22/2024 du Comité européen, vous devriez disposer à tout moment de l’identité de tous vos sous-traitants et sous-traitants ultérieurs, sans devoir réclamer systématiquement leurs contrats.
Une exigence plus stricte vient alors d’ailleurs : votre marché, votre client, votre secteur. Pour un traitement de santé, lisez la page dédiée à l’hébergement de ces données avant de comparer.
Donnez au critère le poids de ce que vous y mettez
Notre avis : votre registre seul décrit surtout des activités et des contacts. Le module de demandes de droits peut contenir l’identité d’un demandeur et des pièces. Celui des violations décrit des incidents et leurs effets, et celui des analyses d’impact vos risques et vos mesures de sécurité. Plus vous y mettez, plus cette vérification pèse. Dastra indique par exemple permettre de garder chez vous les documents stockés, y compris ceux des demandes de droits : cette option peut compter plus que le pays de l’éditeur.
Un acheteur public peut intégrer ces réponses à ses pièces de marché. Une ETI sans clause particulière peut se contenter de la liste signée et d’une clause de notification. Dans les deux cas, gardez la réponse avec votre dossier de sous-traitant : elle sert ensuite pour votre registre.
Limites de cette page
Aucune annexe de sous-traitance n’a été lue pour les éditeurs français cités, et aucun certificat. Le registre de Legiscope a été lu chez l’éditeur, sans son contrat. L’absence d’une information vaut pour les pages lues le 5 novembre 2026. Les règles propres à un marché public ou à un secteur ne sont pas traitées ici : reprenez vos pièces de marché.
Prochaine action
Avant toute démonstration, demandez à chaque éditeur l’annexe de sous-traitance et le nom de la société signataire. Si aucun critère d’hébergement ne vous est imposé, vérifiez ces réponses et revenez au reste de votre comparaison.
Preuves et sources
Lu le 5 novembre 2026 : les articles 28 et 44 à 49 du RGPD dans le texte publié par la CNIL ; l’avis 22/2024 du Comité européen de la protection des données ; les mentions légales, FAQ, conditions et listes de prestataires des éditeurs cités. Aucune annexe de sous-traitance n’a été demandée.
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Déclaration de l’éditeur. Legiscope UAB est une société de droit lituanien qui annonce une application hébergée chez AWS en Irlande, avec une copie de secours en France, et cite OpenAI, Anthropic et Google Gemini parmi les fournisseurs pouvant recevoir une tâche.
Portée : Pages de l’éditeur.
Réserve : Contrat non lu.
- donneespersonnelles.fr : Informations légales Mis à jour le 27 mars 2026. Lu le 5 novembre 2026. Document d’origine.
- legiscope.com : Legiscope Trust Center — security and procurement evidence Revue du 28 août 2026. Lu le 5 novembre 2026. Déclaration de l’éditeur.
- legiscope.com : Legiscope subprocessors and service providers non trouvée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Déclaration de l’éditeur. Le registre de Legiscope mentionne un transfert restreint résiduel, tel qu’un accès support hors de l’Espace économique européen, encadré par des clauses types, et des traitements pouvant impliquer des entités américaines d’un fournisseur d’IA.
Portée : Registre public de prestataires.
Réserve : Déclaration de l’éditeur.
- legiscope.com : Legiscope subprocessors and service providers non trouvée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Déclaration de l’éditeur. Dastra écrit être hébergé, conçu et développé en France ; ses mentions légales indiquent que le site est hébergé sur Microsoft Azure dans des serveurs situés en France, et sa FAQ annonce pouvoir stocker chez le client les documents enregistrés, dont ceux des demandes de droits ; sa documentation présente « Bleu » comme une instance dédiée, isolée de sa plateforme standard.
Portée : Mentions légales et page tarifs.
Réserve : Hébergeur de l’application standard non établi ; l’instance « Bleu » est décrite par l’éditeur seul.
- dastra.eu : Mentions légales non trouvée. Lu le 5 novembre 2026. Document d’origine.
- dastra.eu : Une offre personnalisable, simple et évolutive non trouvée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
- Dastra SAS : Index de documentation Dastra (llms.txt) date non relevée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Déclaration de l’éditeur. La page de Witik écrit à la fois que les données sont hébergées en France et que l’hébergement est exclusivement en Europe ; sa politique de confidentialité cite Netlify pour le site et OVH pour les formulaires et canaux publics.
Portée : Page d’accueil et politique de protection des données.
Réserve : Les deux formulations ne sont pas tranchées.
- witik.io : Witik | Le logiciel de conformité RGPD, IA Act & Sapin 2 non trouvée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
- Witik SAS : Politique de protection des données de Witik date non relevée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Déclaration de l’éditeur. Leto écrit que sa solution est éditée et hébergée par des entreprises françaises, avec des serveurs en France, sans nom d’hébergeur lu ; ses mentions légales nomment Webflow, Inc. à San Francisco comme hébergement du site.
Portée : Pages de l’éditeur.
Réserve : Hébergeur de l’application non nommé dans ces pages.
- leto.legal : Logiciel RGPD Automatisé pour PME & ETI | Demande de Démo | Leto non trouvée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
- leto.legal : Mentions légales non trouvée. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. EQS annonçait en 2024 des négociations exclusives pour acquérir Data Legal Drive, et une page ultérieure d’EQS décrit Data Legal Drive comme une société acquise par EQS Group en 2024 ; datalegaldrive.com affiche le site d’EQS.
Portée : Pages d’EQS.
Réserve : Le communiqué de clôture n’a pas été lu.
- eqs.com : EQS Group enters into exclusive negotiations to acquire Data Legal Drive - EQS Group Juillet 2024. Lu le 5 novembre 2026. Document d’origine.
- eqs.com : Privacy Cockpit Platform Overview - EQS Group non trouvée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
- EQS Group : Logiciel de conformité, ESG et Gouvernance | EQS Group date non relevée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Déclaration de l’éditeur. Les conditions générales de service de Smart Global Governance renvoient à l’hébergeur désigné dans le devis, avec un hébergement mutualisé ou dédié, et sa page annonce un hébergement dans plus de 80 pays.
Portée : Conditions et page d’accueil.
Réserve : Hébergeur et pays à lire au devis.
- smartglobalgovernance.com : Smart Global Governance - CGS non trouvée. Lu le 5 novembre 2026. Document d’origine.
- smartglobalprivacy.com : Smart Global Governance | Conformité et Risques Simplifiés, automatiquement non trouvée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Fait lu. Le chapitre V du RGPD subordonne les transferts hors de l’Union au respect de ses règles : décision d’adéquation, garanties appropriées, dérogations pour des situations particulières ; nous n’y avons lu aucune obligation générale d’hébergement en France.
Portée : Articles 44 à 49.
Réserve : Un marché, un client ou un secteur peut exiger davantage.
- CNIL : CHAPITRE V - Transferts de données à caractère personnel vers des pays tiers ou à des organisations internationales | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
- CNIL : Transférer des données hors de l'UE Lu le 5 novembre 2026. Document d’origine.
Fait lu. La décision d’adéquation du 10 juillet 2023 pour les États-Unis vise les entreprises américaines participant au Data Privacy Framework, et non tout destinataire américain.
Portée : Décision d’exécution (UE) 2023/1795.
Réserve : Procédure de pourvoi à suivre.
- Commission européenne : EU-US data transfers - European Commission Lu le 5 novembre 2026. Document d’origine.
- CNIL : Transférer des données hors de l'UE Lu le 5 novembre 2026. Document d’origine.
Fait lu. L’article 28 du RGPD impose de recourir à des sous-traitants présentant des garanties suffisantes et encadre la sous-traitance ultérieure par une autorisation écrite, spécifique ou générale, avec information et possibilité d’opposition en cas d’autorisation générale.
Portée : Article 28, paragraphes 1, 2 et 4.
Réserve : Texte reproduit par la CNIL.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Déclaration de l’éditeur. Pour le Comité européen, le responsable devrait disposer à tout moment de l’identité de tous les sous-traitants et sous-traitants ultérieurs, quel que soit le risque, sans obligation de demander systématiquement les contrats de sous-traitance ultérieure.
Portée : Avis 22/2024 du 9 octobre 2024.
Réserve : Avis, à appliquer selon le contexte.
- CEPD/EDPB : Opinion 22/2024 on certain obligations following from the reliance on processor(s) and sub-processor(s) 9 octobre 2024. Lu le 5 novembre 2026. Document d’origine.
Notre avis. Donner plus de poids au critère d’hébergement selon les modules utilisés, et le réduire en l’absence d’exigence, est notre avis et notre déduction du contenu de ces modules.
Portée : Choix d’achat.
Réserve : Chaque organisation décrit ce qu’elle met dans son outil.
Daté du 5 novembre 2026.